Was Besucher sehen – und was es Sie kostet
Ein SSL-Zertifikat (genauer: TLS-Zertifikat) bestätigt dem Browser, dass er wirklich mit Ihrem Server spricht und die Verbindung verschlüsselt ist. Jedes Zertifikat hat ein festes Ablaufdatum. Ist es überschritten, kann der Browser die Verbindung nicht mehr als sicher einstufen und zeigt statt Ihrer Seite eine ganzseitige Warnung. In Chrome lautet die Überschrift auf Deutsch „Dies ist keine sichere Verbindung“, darunter steht ein Fehlercode wie NET::ERR_CERT_DATE_INVALID. Chrome nennt im Text auch, vor wie vielen Tagen das Zertifikat abgelaufen ist.
Warnseite statt Website
Besucher sehen die Browser-Warnung, nicht Ihr Angebot. Wer sich nicht auskennt, hält die Seite für gehackt und geht.
Kein Weiterklicken bei HSTS
Nutzt Ihre Website HSTS (eine Einstellung, die den Browser nur noch verschlüsselte Verbindungen erlauben lässt), bietet Chrome gar keinen Weg mehr auf die Seite.
Bestellungen und Formulare
Warenkorb, Kasse, Kontaktformular und Kundenkonto liegen hinter derselben Warnung. Anfragen und Umsatz bleiben aus, solange das Zertifikat nicht erneuert ist.
Schnittstellen
Zahlungsanbieter, Warenwirtschaft oder Apps, die Ihren Server aufrufen, prüfen das Zertifikat ebenfalls. Rückmeldungen über Zahlungen können dann ausbleiben.
Läuft Ihr Mailserver über dasselbe Zertifikat, melden auch Mailprogramme Fehler beim Abrufen oder Versenden.
Grafik einbinden
Sie dürfen diese Grafik kostenlos auf Ihrer Website zeigen – mit Quellenangabe. Code kopieren und in Ihre Seite einfügen:
Für den Browser sieht ein abgelaufenes Zertifikat genauso aus wie ein möglicher Angriff. Deshalb ist die Warnung so deutlich – und deshalb klicken die meisten Besucher weg, statt weiterzulesen.
Bevor Sie von einem Hack ausgehen: Zeigt der Browser eine Zertifikatswarnung, ist oft nur das Zertifikat abgelaufen. Was bei einem echten Angriff zu tun ist, steht im Ratgeber Notfallplan für die erste Stunde.
Erste Hilfe: Die erste Stunde
Arbeiten Sie die Schritte der Reihe nach ab. Entscheidend ist die Frage, woher Ihr Zertifikat kommt. Davon hängt ab, wer es erneuern kann und wie.
Kostenlos, automatisch
Let’s Encrypt
- Im Zertifikat steht „Let’s Encrypt“ als Aussteller
- Standard-Laufzeit derzeit 90 Tage
- Erneuerung läuft über ein Programm auf dem Server oder beim Hoster
- Bricht die Erneuerung ab, merkt es oft niemand
Beim Hoster oder Zertifikatsanbieter
Gekauftes Zertifikat
- Im Zertifikat steht ein anderer Aussteller
- Läuft mit einem Vertrag, der verlängert werden muss
- Nach der Verlängerung muss das neue Zertifikat auf den Server
- Erinnerung geht an die hinterlegte E-Mail-Adresse – oft die der Agentur
Grafik einbinden
Sie dürfen diese Grafik kostenlos auf Ihrer Website zeigen – mit Quellenangabe. Code kopieren und in Ihre Seite einfügen:
- 1Prüfen, ob es wirklich das Zertifikat istÖffnen Sie die Warnseite und klicken Sie auf den Fehlercode oder „Erweitert“. Steht dort
NET::ERR_CERT_DATE_INVALIDoder ein Hinweis auf ein abgelaufenes Zertifikat, liegt es am Ablaufdatum. Prüfen Sie zur Sicherheit Datum und Uhrzeit Ihres Rechners – eine falsch gestellte Uhr löst dieselbe Meldung aus. Rufen Sie die Seite auch von einem zweiten Gerät auf, etwa vom Handy im Mobilfunknetz. - 2Herausfinden, wer das Zertifikat ausstelltKlicken Sie links neben der Adresse auf das Symbol und öffnen Sie die Zertifikatsdetails. Wichtig sind „Ausgestellt von“ und „Gültig bis“. Steht dort Let’s Encrypt, sollte die Erneuerung automatisch laufen und ist irgendwo hängen geblieben. Steht dort ein anderer Anbieter, ist es meist ein gekauftes Zertifikat mit eigener Laufzeit.
- 3Beim Hoster erneuern oder die Erneuerung anstoßenMelden Sie sich im Kundenmenü Ihres Hosting-Anbieters an und suchen Sie den Bereich für SSL oder Zertifikate. Bei Let’s Encrypt lässt sich das Zertifikat dort meist neu ausstellen oder die Zuordnung zur Domain neu setzen. Ein gekauftes Zertifikat verlängern Sie beim Anbieter; danach muss es in der Regel neu bestätigt und eingespielt werden. Haben Sie keinen Zugang, lesen Sie im Ratgeber Zugangsdaten zurückholen weiter.
- 4Server und CDN neu ladenAuf einem eigenen Server liegt das neue Zertifikat oft schon bereit, wird aber erst nach einem Neuladen des Webservers ausgeliefert. Läuft Ihre Seite über ein CDN oder einen vorgeschalteten Dienst, prüfen Sie dort, welches Zertifikat Besucher tatsächlich sehen – das kann ein anderes sein als auf Ihrem Server.
- 5Zwischenzertifikate prüfenEin Zertifikat wird mit einer Kette aus Zwischenzertifikaten ausgeliefert, die bis zu einer vertrauenswürdigen Stelle führt. Wird beim Einspielen nur das eigene Zertifikat ohne diese Kette hinterlegt, funktioniert die Seite in manchen Browsern und auf manchen Geräten trotzdem nicht. Spielen Sie deshalb die vollständige Kette ein.
- 6Cache leeren und testenLaden Sie die Seite neu, leeren Sie bei Bedarf den Browser-Cache und testen Sie mit mehreren Geräten. Denken Sie an alle Adressen: mit und ohne „www“, Unterseiten wie den Shop oder ein Kundenportal, den Mailserver. Ob das neue Zertifikat aktiv ist und wie lange es läuft, zeigt unser Sicherheits-Check.
- 7Ursache notierenIst die Seite wieder erreichbar, halten Sie fest, warum die Erneuerung gescheitert ist. Sonst steht dasselbe Problem bei der nächsten Erneuerung wieder an – und die kommt künftig schneller.
Warum Zertifikate ablaufen
Ein abgelaufenes Zertifikat ist fast nie ein Zufall. Meist hat eine automatische Erneuerung still versagt, oder niemand fühlte sich zuständig. Die häufigsten Gründe:
DNS zeigt woanders hin
Bei Let’s Encrypt muss die Domain beim Prüfen auf den Server zeigen, der das Zertifikat anfordert. Wurde die Domain umgezogen oder ein DNS-Eintrag geändert, scheitert die Prüfung.
Port 80 blockiert
Die verbreitete Prüfung per HTTP funktioniert nur über Port 80. Sperrt eine Firewall oder eine Weiterleitung diesen Weg, kann das Zertifikat nicht erneuert werden.
Paket gekündigt oder umgezogen
Die Website liegt inzwischen woanders, aber das alte Hosting-Paket war für das Zertifikat zuständig – oder es wurde gekündigt, ohne dass jemand das Zertifikat mitgenommen hat.
Gekauftes Zertifikat vergessen
Ein Zertifikat mit eigener Laufzeit verlängert sich nicht von selbst. Die Erinnerung ging an eine alte Adresse oder blieb unbeachtet.
Keine Warnmail mehr
Let’s Encrypt verschickt seit dem 04.06.2025 keine E-Mails mehr vor dem Ablauf. Wer sich darauf verlassen hat, erfährt es jetzt erst von Kunden.
Agentur nicht erreichbar
Die Agentur hat die Verlängerung verwaltet, reagiert aber nicht mehr. Was Sie dann tun können: Agentur reagiert nicht.
Grafik einbinden
Sie dürfen diese Grafik kostenlos auf Ihrer Website zeigen – mit Quellenangabe. Code kopieren und in Ihre Seite einfügen:
- Zeitplan startetProgramm auf dem Server prüft regelmäßig die Restlaufzeit
- Neues Zertifikat anfordernAnfrage an Let’s Encrypt
- Domain wird geprüftPer HTTP über Port 80 oder per DNS-Eintrag
- Zertifikat ausgestelltNeues Zertifikat landet auf dem Server
- Webserver lädt neuBesucher bekommen das neue Zertifikat
Grafik einbinden
Sie dürfen diese Grafik kostenlos auf Ihrer Website zeigen – mit Quellenangabe. Code kopieren und in Ihre Seite einfügen:
Der heikelste Fall: Domain, Hosting und Zertifikat laufen über die Agentur, und Sie haben keine eigenen Zugänge. Holen Sie sich diese Zugänge, bevor der nächste Ablauf ansteht – wie, steht unter Zugangsdaten zurückholen und Domain umziehen mit Authcode.
Laufzeiten werden kürzer – Automatisierung wird Pflicht
Das CA/Browser Forum, in dem Zertifizierungsstellen und Browser-Hersteller die Regeln für öffentliche Zertifikate festlegen, hat im April 2025 mit dem Beschluss SC-081 entschieden, die Höchstlaufzeit schrittweise zu senken. Bis dahin durften Zertifikate bis zu 398 Tage gelten. Seit dem 15.03.2026 sind es höchstens 200 Tage, ab dem 15.03.2027 höchstens 100 Tage und ab dem 15.03.2029 höchstens 47 Tage.
| Bis 14.03.2026 | 398 Tage |
|---|---|
| Ab 15.03.2026 | 200 Tage |
| Ab 15.03.2027 | 100 Tage |
| Ab 15.03.2029 | 47 Tage |
Quelle: CA/Browser Forum, Baseline Requirements und Beschluss SC-081
Grafik einbinden
Sie dürfen diese Grafik kostenlos auf Ihrer Website zeigen – mit Quellenangabe. Code kopieren und in Ihre Seite einfügen:
04.06.2025
Let’s Encrypt beendet Ablauf-Mails
Keine Erinnerung mehr per E-Mail – Überwachung liegt beim Betreiber.
15.03.2026
Höchstens 200 Tage
Erste Stufe des CA/Browser Forums.
13.05.2026
Let’s Encrypt: 45 Tage wählbar
Freiwilliges Profil für Betreiber, die früh umstellen wollen.
10.02.2027
Let’s Encrypt: 64 Tage
Neue Standard-Laufzeit für alle, die nichts umstellen.
Steht bevor
15.03.2027
Höchstens 100 Tage
Zweite Stufe – gekaufte Zertifikate müssen gut dreimal im Jahr erneuert werden.
Steht bevor
16.02.2028
Let’s Encrypt: 45 Tage
Standard-Laufzeit sinkt erneut.
Steht bevor
15.03.2029
Höchstens 47 Tage
Letzte Stufe – manuelle Erneuerung ist dann kaum noch machbar.
Ohne Automatik riskant
Grafik einbinden
Sie dürfen diese Grafik kostenlos auf Ihrer Website zeigen – mit Quellenangabe. Code kopieren und in Ihre Seite einfügen:
Let’s Encrypt geht schneller vor. Die Standard-Laufzeit beträgt derzeit 90 Tage. Ab dem 10.02.2027 stellt Let’s Encrypt im Standard-Profil Zertifikate mit 64 Tagen aus, ab dem 16.02.2028 mit 45 Tagen. Seit dem 13.05.2026 können Betreiber 45 Tage freiwillig wählen. Die Änderungen gelten jeweils für neue Zertifikate, also ab der nächsten Erneuerung.
Die Folge für Sie: Wer Zertifikate heute noch von Hand verlängert oder einspielt, muss das bald alle paar Wochen tun. Let’s Encrypt rät ausdrücklich von manueller Erneuerung ab und empfiehlt, die Erneuerungen zu überwachen. Jetzt ist ein guter Zeitpunkt, die Erneuerung zu automatisieren.
Vorbeugen: Damit es nicht wieder passiert
Ein abgelaufenes Zertifikat ist eines der Probleme, die sich mit wenig Aufwand verhindern lassen. Drei Dinge reichen: automatische Erneuerung, eine Überwachung, die Sie warnt, und eine klare Zuständigkeit.
- Let’s Encrypt im Hosting-PaketDer Hoster erneuert automatisch. Prüfen Sie nach Domain- oder DNS-Änderungen, ob die Zuordnung noch stimmt.Hoster
- Gekauftes Zertifikat beim HosterVertrag muss verlängert werden. Klären Sie, ob das automatisch geschieht und an wen die Erinnerung geht.Sie oder Hoster
- Eigener ServerErneuerung, Neuladen und Kette liegen bei dem, der den Server betreut.Server-Betreuer
- CDN oder vorgeschalteter DienstBesucher sehen das Zertifikat des Dienstes. Das Zertifikat auf Ihrem Server muss trotzdem gültig bleiben.Dienst und Server
- Agentur verwaltet alles, Sie haben keinen ZugangIst die Agentur nicht erreichbar, kommt niemand an das Zertifikat. Zugänge auf Ihren Namen holen.Nur die Agentur
Läuft meist von selbstBraucht jemanden, der es im Blick hatHängt an einer Person
Grafik einbinden
Sie dürfen diese Grafik kostenlos auf Ihrer Website zeigen – mit Quellenangabe. Code kopieren und in Ihre Seite einfügen:
Automatische Erneuerung: Nutzen Sie, wo es geht, die automatische Erneuerung Ihres Hosting-Anbieters oder ein ACME-Programm auf Ihrem Server (ACME ist das Verfahren, mit dem Let’s Encrypt und andere Anbieter Zertifikate automatisch ausstellen). Let’s Encrypt empfiehlt, die Erneuerungsinformationen des Anbieters (ARI) zu nutzen oder spätestens nach etwa zwei Dritteln der Laufzeit zu erneuern. Ein fester Rhythmus von 60 Tagen reicht für 45-Tage-Zertifikate nicht mehr.
Überwachung des Ablaufdatums: Richten Sie eine Überwachung ein, die das Zertifikat Ihrer Website von außen prüft und Sie rechtzeitig vor dem Ablauf warnt – per E-Mail oder SMS, an Sie selbst und nicht nur an die Agentur. Let’s Encrypt nennt auf seiner Website mehrere solche Dienste. Einen schnellen Blick auf die Restlaufzeit gibt Ihnen jederzeit unser Sicherheits-Check.
Zuständigkeit klären: Schreiben Sie auf, wer für welches Zertifikat zuständig ist, wo es verwaltet wird und an welche Adresse die Warnungen gehen.
Wie wir helfen
Ist Ihr Zertifikat abgelaufen und Ihre Agentur nicht erreichbar, können Sie uns direkt ansprechen. Im Notfall erreichen Sie Martin, unseren KI-Berater, rund um die Uhr über Kontakt. Wir sehen uns an, woher Ihr Zertifikat kommt, erneuern es mit den Zugängen, die Sie haben, und finden heraus, warum die Erneuerung gescheitert ist.
Beim Abspielen lädt das Video von YouTube (Google).Datenschutz
Danach können wir den Betrieb dauerhaft übernehmen. Beyond AIgency ist eine Marke der Beyond Media GmbH, die seit 2004 Websites und Shops betreut. Beim Hosting bekommen Sie Domains und SSL-Zertifikate aus einer Hand, die Erneuerung läuft automatisch. Mit der Website-Betreuung oder der Betreuung Ihrer Shop-Technik überwachen wir Ihre Seite rund um die Uhr, auch die Restlaufzeit der Zertifikate – zur festen Monatspauschale, monatlich kündbar.
Weitere Ratgeber für Betreiber eines Shops oder CMS mit Ärger mit der Agentur finden Sie unter Agentur wechseln.